La gestion des risques dans le secteur public est largement intégrée, même si son niveau de maturité reste encore à développer. Elle cible surtout les risques liés aux systèmes informatiques et aux ressources humaines.
Quelle place occupe-t-elle vraiment au sein des organisations publiques ? Qui en est responsable ? Quelles méthodes sont employées ? C’est ce qu’on vous explique dans cet article, dont les informations sont tirées de notre Baromètre de la Performance des organisations publiques.
La mise en place progressive de la gestion des risques dans les organisations publiques
La gestion des risques s’ancre progressivement dans les organisations publiques qui sont de plus en plus conscientes de ses enjeux. Cependant, le niveau de maturité reste encore à consolider.
Une démarche désormais largement adoptée
En 2024, 75 % des organisations publiques déclarent avoir mis en place une gestion des risques. Ce résultat est comparable à celui des organisations françaises, puisque 78 % d’entre elles ont mis en place une gestion des risques, preuve que les organismes publics suivent la tendance générale.
Une maturité encore en construction
Bien que ces résultats soient proches, il en est tout autre pour le niveau de maturité de la démarche. Environ 37 % des organisations publiques se situent au niveau 1 de maturité, c’est-à-dire sans démarche formalisée en place, contre 23 % dans la moyenne nationale.
Cette situation s’explique par une appropriation progressive de ces démarches, dans un cadre souvent marqué par :
- des ressources limitées
- une organisation complexe (gestion de la diversité des missions, processus et projets)
- un ancrage fort dans des logiques de conformité
Si les niveaux 2 à 4 sont atteints dans des proportions comparables à celles du reste des organisations, les institutions publiques sont moins influencées par la concurrence et restent guidées par la continuité du service public et des impératifs réglementaires.
Enfin, l’absence d’organisations publiques situées au niveau 5 souligne un potentiel encore largement inexploité en matière d’amélioration continue.
La pratique de la gestion des risques dans le secteur public
La gestion des risques progresse dans les organisations publiques, mais son application révèle encore quelques spécificités. Le pilotage, les risques priorisés et les méthodes utilisées témoignent d’une approche souvent différente de celle du secteur privé.
Un pilotage souvent mené par la fonction Qualité
Dans la majorité des organisations, c’est le responsable Qualité qui est en charge de la gestion des risques. Cette répartition des rôles, longtemps sujette à débat (certains doutant de la légitimité de la fonction Qualité à porter cette démarche) semble aujourd’hui actée.
De manière attendue, le Risk Manager arrive en 2e position, confirmant là encore les tendances nationales, même s’il est un peu moins représenté dans les organisations publiques (13 %) que dans les privées (19 %).
En revanche, on observe dans le secteur public une plus grande implication des fonctions de contrôle de gestion et de contrôle interne : 13 % (contre 6 % en moyenne en France) ; et du responsable administratif et financier : 7 % (contre à peine 1 % en moyenne en France). Des résultats qui traduisent les contraintes spécifiques du secteur public : moyens et investissements plus restreints et encadrés et moins de souplesse organisationnelle par rapport au secteur privé.
Une priorité donnée aux risques informatiques et RH
Lorsque les risques sont gérés, ce sont les risques informatiques ou cyber qui sont le plus traités, à l’instar de l’ensemble des organisations françaises. Qu’elles soient publiques ou privées, les organisations ont conscience qu’elles sont vulnérables et que les conséquences potentielles sont directes et importantes.
Les risques liés aux Ressources Humaines arrivent en 2ᵉ position avec 53 % des réponses, contre seulement la 6e place (30 %) pour l’ensemble des organisations en France.
Cette différence s’explique par un haut taux de turnover des collectivités territoriales notamment et des difficultés croissantes à recruter. De plus, il semblerait que le secteur public subisse les effets de la crise avec un temps de décalage par rapport au privé.
Par ailleurs, de nombreuses structures publiques connaissent d’importantes réorganisations, avec des départs de cadres dirigeants. Ils sont remplacés par de nouveaux profils, souvent issus du privé, qui apportent une vision différente pas toujours bien perçue par les équipes en place. Un facteur politique qui introduit une pression supplémentaire sur les ressources humaines dans le secteur public, accentuant l’instabilité et la complexité de la gestion managériale.
Les risques de Santé et Sécurité au Travail complètent le trio de tête (50 %). Les organisations publiques intensifient leurs efforts pour combler le retard accumulé en matière de SST. Leur objectif est de mieux maîtriser les risques de non-conformité identifiés dans ce domaine.
De manière plus générale, l’analyse des risques dans les organisations publiques reste fragmentée. Elle est menée risque par risque, sans vraiment d’approche globale. Cela traduit un certain retard par rapport au secteur privé où le management des risques est souvent plus structuré et intégré.
Les méthodes et référentiels employés
L’AMDEC, qui est la première méthode employée dans les organisations privées (44 %), est moitié moins utilisée dans les institutions publiques (20 %). Cela peut surprendre étant donné sa présence dans de nombreuses pratiques, parfois même de manière implicite. Son usage reste toutefois très sectorisé.
À l’inverse, le référentiel COSO et l’ISO 31 000 sont davantage adoptés par les organisations publiques. Cela témoigne d’une volonté de s’aligner sur les cadres normatifs de la gestion des risques afin de professionnaliser la démarche.
Les perspectives d’évolution de la gestion des risques dans le secteur public
Les organisations publiques vont prioriser la mise en place du contrôle interne et celui du management des risques.
Dans les années à venir, les organismes publics devraient se concentrer sur deux axes majeurs :
- le déploiement du contrôle interne (38 %)
- la mise en place d’une démarche de gestion des risques (36 %)
Les risques cyber sont jugés moins problématiques que dans le privé (34 % pour le privé, contre 20,5 %). Deux hypothèses peuvent l’expliquer : soit une relative maîtrise du sujet par les organisations, soit une conscience encore incomplète de ces enjeux, notamment au sein de certaines directions.
Sur le terrain, nous constatons souvent que le risque cyber ne devient un enjeu stratégique que lorsqu’une organisation proche est directement touchée. La sensibilité à ces risques semble plus forte dans le secteur privé du fait des enjeux concurrentiels et des exigences imposées par la réglementation RGPD.
Dans les organisations publiques, l’impact du management des risques sur les conditions de travail semble moins visible que dans le secteur privé, sans doute parce que des pratiques existent depuis longtemps, à haut niveau et sur des périmètres ciblés, mais pas forcément de manière centralisée et généralisée.
Le Baromètre de la Performance des Organisations publiques a été co-rédigé avec Fabien Malleret.
Image à la Une : Marian Strinoiu – Unsplash
Contenu de l'article
